iOS逆向-代码注入(IV)

framework注入

dyld

dyld (动态库加载器)，负责加载程序和程序所有依赖的动态库。内核读取 Mach-O 文件后将读取的内容交给 dyld 进行加载，dyld 加载完毕后才会执行 main 函数。

准备工作

MachOView源码地址

MachOView工具可在Mac平台中可查看MachO文件格式信息

yololib源码地址

dylib注入,将自己的framework注入到可执行文件中

  1. 重复上一章，shell脚本重签名
  2. 新建一个NJHook.framework
  3. 在framework中新建两个类，并写个load加载函数
  4. Command+B编译一下，发现NJHook.framework已经添加到微信的frameworks文件夹中
  5. 用yololib工具将NJHook.framework注入到WeChat.pp的可执行文件中
    先将yololib工具copy到/usr/local/bin目录下
    记录第4步产生的NJHook的可执行文件的路径：Frameworks/NJHook.framework/NJHook
    找到要注入代码的WeCha.ipa的包，然后解压，执行下面指令
$ cd /Users/xxxxxxxxxx/Payload/WeChat.app 
$ yololib WeChat Frameworks/NJHook.framework/NJHook

  1. 用MachOView查看WeChat.app包里面的可执行文件
    在Load Commands里面可以看到NJHook.framework已经注入WeChat的可执行文件中

  2. 删除原来的WeChat.ipa文件，然后重新生成WeChat.ipa
    cd到Payload的上一层文件夹,执行

$ cd /Users/xxx/Desktop/WeChat/App/xxxxx
$ zip -ry WeChat.ipa Payload

删除所有文件，在App文件夹只保留重新生成的WeChat.ipa

  1. 运行项目，可以看到刚才注入NJHook.framework中的类文件的中的打印已经出来了

  2. 遇到的问题
    lz是在第8步直接运行发生下面的问题，直接添加一下依赖就行了/如果在第8步先Command+B编译一下应该没有下面的问题了，lz就不试了

dyld: Library not loaded: @executable_path/Frameworks/NJHook.framework/NJHook
  Referenced from: /var/containers/Bundle/Application/B3BC8213-E4C3-4743-A269-E66BB77DAEC5/WeChat.app/WeChat
  Reason: image not found
Message from debugger: Terminated due to signal 6

添加依赖如下


Dylib库注入

  1. 重复上一章，shell脚本重签名

  2. 添加一下Dylib库,命名NJHook,如下图所示

  3. **修改NJHook库参数配置



  4. 添加用yololib工具将NJHook.framework注入到WeChat.pp的可执行文件的脚本实现

#注入
# 注入我们编写的动态库
echo "开始注入"
# 需要注入的动态库的路径  这个路径我就写死了!
INJECT_FRAMEWORK_RELATIVE_PATH="Frameworks/libNJHook.dylib"
#
## 通过工具实现注入
yololib "$TARGET_APP_PATH/$APP_BINARY" "$INJECT_FRAMEWORK_RELATIVE_PATH"
echo "注入完成"

具体见demo-链接: https://pan.baidu.com/s/1JsSWd4uFdzbQkQIdhhdfOA 提取码: qppu

  1. 在创建libNJHook.dylib生成的类文件中,添加一个load方法，并运行项目,结果如下

从报错来看，是没有找到libHankHook.dylib

  1. 添加对libNJHook.dylib的依赖,然后运行项目


❓啥情况？
估计Xcode并不鸟dylib

  1. 删除"Copy Files" ，手动复制libHankHook.dylib到WeChat.app的frameworks文件夹

  2. 删除原来的WeChat.ipa文件，重新生成WeChat.ipa文件，放到App文件夹（framework的第7步）

  3. 运行项目，可以看到打印函数了

Method Swizzle

关于黑魔法Method Swizzle就不在多说，大家可以自己查资料，我们直接看Hook微信注册的例子

  1. 重复上一章，shell脚本重签名

  2. 运行项目，查看视图层级，点击微信的注册按钮，查看如下图所示：


可以看到 Target : WCAccountLoginControlLogic Action: onFirstViewRegester

  1. 利用class-dump反编译工具导出WeChat.app的头文件

下载后打开dmg文件，将可执行文件class-dump复制到/usr/local/bin目录下

执行指令：

$ class-dump -H /Users/xxxx/Desktop/WeChat/App/Payload/WeChat.app -o /Users/xxxxx/Desktop/WeChatHeaders
  1. 利用Sublime Text工具查看生成的头文件
  • 把生成的头文件夹拖到Sublime Text工具中，Command+shift+f然后在find栏目中输入 @interface WCAccountLoginControlLogic

  • 双击到WCAccountLoginControlLogic的.h中


  1. 利用Method Swizzle拦截微信注册按钮的Action
#import "NJHook.h"
#import <objc/runtime.h>

@implementation NJHook

+(void)load
{
    Method oldMethod = class_getInstanceMethod(objc_getClass("WCAccountLoginControlLogic"), @selector(onFirstViewRegester));
    Method newMethod = class_getInstanceMethod(self, @selector(test));
    method_exchangeImplementations(oldMethod, newMethod);
}

-(void)test{
    NSLog(@"检测到状态异常！不能注册！！");
}
  1. 运行项目，点击微信的注册按钮，控制面板可以看到打印函数
2019-09-21 16:17:02.401862+0800 WeChat[8245:1236128] 检测到状态异常！不能注册！！
2019-09-21 16:17:02.601956+0800 WeChat[8245:1236128] 检测到状态异常！不能注册！！
2019-09-21 16:17:02.933624+0800 WeChat[8245:1236128] 检测到状态异常！不能注册！！
2019-09-21 16:17:03.084454+0800 WeChat[8245:1236128] 检测到状态异常！不能注册！！
2019-09-21 16:17:03.234972+0800 WeChat[8245:1236128] 检测到状态异常！不能注册！！
2019-09-21 16:17:03.370160+0800 WeChat[8245:1236128] 检测到状态异常！不能注册！！
2019-09-21 16:17:03.484951+0800 WeChat[8245:1236128] 检测到状态异常！不能注册！！
获取微信密码调试分析
  1. 运行项目，到账号密码的登录页面，随便输入账号和密码，查看视图层级结构，点击登录按钮

调试用framework注入的那份代码，因为framework是自动添加到WeChat.app的 frameworks文件夹的

  1. 利用Sublime Text工具查看生成的头文件
    把生成的头文件夹拖到Sublime Text工具中，Command+shift+f然后在find栏目中输入 @interface WCAccountMainLoginViewController


    可以看到 WCAccountTextFieldItem *_textFieldUserPwdItem，是有关密码输入框的
    继续查看WCAccountTextFieldItem.h类别

    在WCAccountTextFieldItem.h中没有获取到我们想要的，看一下他的父类

    发现了WCUITextField *m_textField

  2. LLDB调试验证猜想

  3. 添加执行代码,并运行项目, 到微信账号登录页面，点击登录按钮，可以看到打印的密码

#import "InjectCode.h"
#import <objc/runtime.h>

@implementation InjectCode

+(void)load
{
    //WCAccountMainLoginViewController onNext
    Method onNext = class_getInstanceMethod(objc_getClass("WCAccountMainLoginViewController"), @selector(onNext));
    Method my_next = class_getInstanceMethod(self, @selector(my_next));
    method_exchangeImplementations(onNext, my_next);
}

//id self , SEL _cmd
-(void)my_next{
    NSString * pwd = [[[self valueForKey:@"_textFieldUserPwdItem"]valueForKey:@"m_textField"] performSelector:@selector(text)];
    NSLog(@"密码是！%@",pwd);//破坏
}

@end

结果如下：
2019-09-23 16:00:09.904029+0800 WeChat[8468:1373458] 密码是！123456
如何让点击登录能够即打印，又能继续执行微信登录的方法?
  • 通过添加方法
#import "InjectCode.h"
#import <objc/runtime.h>

@implementation InjectCode

+(void)load
{
    //1.原始的方法
    Method onNext = class_getInstanceMethod(objc_getClass("WCAccountMainLoginViewController"), @selector(onNext));
    //2.添加新的方法
    BOOL didAddMethod = class_addMethod(objc_getClass("WCAccountMainLoginViewController"), @selector(new_onNext), my_next, "v@:");
    //3.方法交换
    method_exchangeImplementations(onNext, class_getInstanceMethod(objc_getClass("WCAccountMainLoginViewController"), @selector(new_onNext)));
}

//id self , SEL _cmd
void my_next(id self, SEL _cmd){
    NSString * pwd = [[[self valueForKey:@"_textFieldUserPwdItem"]valueForKey:@"m_textField"] performSelector:@selector(text)];
    NSLog(@"密码是！%@",pwd);//破坏
    //调用原来的方法
    [self performSelector:@selector(new_onNext) ];
}

运行项目，到微信账号登录页面，随便输入账号和密码，点击登录，发现打印函数，还有微信的账号密码错误的提示框

@end

  • 方法替换
#import "InjectCode.h"
#import <objc/runtime.h>

@implementation InjectCode

+(void)load
{
    //1.原始的方法IMP
    old_onNext = method_getImplementation(class_getInstanceMethod(objc_getClass("WCAccountMainLoginViewController"), @selector(onNext)));
                                          
    //2.替换IMP
    class_replaceMethod(objc_getClass("WCAccountMainLoginViewController"), @selector(onNext), my_next, "v@:");
}

IMP (*old_onNext)(id self, SEL _cmd);

//id self , SEL _cmd
void my_next(id self, SEL _cmd){
    NSString * pwd = [[[self valueForKey:@"_textFieldUserPwdItem"]valueForKey:@"m_textField"] performSelector:@selector(text)];
    NSLog(@"密码是！%@",pwd);//破坏
    //调用原来的方法
    old_onNext(self,_cmd);
}

@end
  • GET & SET
#import "InjectCode.h"
#import <objc/runtime.h>

@implementation InjectCode

+(void)load
{
    //GET & SET
    Method onNext = class_getInstanceMethod(objc_getClass("WCAccountMainLoginViewController"), sel_registerName("onNext"));
    //1.保存原始的IMP
    old_onNext = method_getImplementation(onNext);
    //2.SET
    method_setImplementation(onNext, (IMP)my_next);
}

IMP (*old_onNext)(id self, SEL _cmd);

//id self , SEL _cmd
void my_next(id self, SEL _cmd){
    NSString * pwd = [[[self valueForKey:@"_textFieldUserPwdItem"]valueForKey:@"m_textField"] performSelector:@selector(text)];
    NSLog(@"密码是！%@",pwd);//破坏
    //调用原来的方法
    old_onNext(self,_cmd);
}

@end
©著作权归作者所有,转载或内容合作请联系作者
  • 人面猴
    序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
    沈念sama阅读 219,427评论 6赞 508
  • 死咒
    序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
    沈念sama阅读 93,551评论 3赞 395
  • 救了他两次的神仙让他今天三更去死
    文/潘晓璐 我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
    开封第一讲书人阅读 165,747评论 0赞 356
  • 道士缉凶录：失踪的卖姜人
    文/不坏的土叔 我叫张陵，是天一观的道长。 经常有香客问我，道长，这世上最难降的妖魔是什么？ 我笑而不...
    开封第一讲书人阅读 58,939评论 1赞 295
  • 港岛之恋（遗憾婚礼）
    正文 为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
    茶点故事阅读 67,955评论 6赞 392
  • 恶毒庶女顶嫁案：这布局不是一般人想出来的
    文/花漫 我一把揭开白布。 她就那样静静地躺着，像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上，一...
    开封第一讲书人阅读 51,737评论 1赞 305
  • 城市分裂传说
    那天，我揣着相机与录音，去河边找鬼。 笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。 我是一名探鬼主播，决...
    沈念sama阅读 40,448评论 3赞 420
  • 双鸳鸯连环套：你想象不到人心有多黑
    文/苍兰香墨 我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
    开封第一讲书人阅读 39,352评论 0赞 276
  • 万荣杀人案实录
    序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
    沈念sama阅读 45,834评论 1赞 317
  • 护林员之死
    正文 独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 37,992评论 3赞 338
  • 白月光启示录
    正文 我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 40,133评论 1赞 351
  • 活死人
    序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
    沈念sama阅读 35,815评论 5赞 346
  • 日本核电站爆炸内幕
    正文 年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
    茶点故事阅读 41,477评论 3赞 331
  • 男人毒药：我在死后第九天来索命
    文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 32,022评论 0赞 22
  • 一桩弑父案，背后竟有这般阴谋
    文/苍兰香墨 我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 33,147评论 1赞 272
  • 情欲美人皮
    我被黑心中介骗来泰国打工， 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。 一个月前我还...
    沈念sama阅读 48,398评论 3赞 373
  • 代替公主和亲
    正文 我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
    茶点故事阅读 45,077评论 2赞 355

推荐阅读更多精彩内容

  • iOS逆向(4)-代码注入，窃取微信密码
    转载：原文地址[//www.greatytc.com/p/31232eef35c5] 利用LLDB对微信...
    iOS猿_员阅读 2,140评论 2赞 22
  • iOS逆向安全之代码注入
    在我们通过将代码重新签名(如果对第三方app重签名不太熟悉的,请参考iOS逆向安全之代码重签名)能够让我们在本地通...
    SharaYuki阅读 1,739评论 0赞 8
  • iOS逆向之 framework 注入
    声明：此文章仅是学术探讨类文章，仅仅用于学习研究，也请读者不要用于商业或其他非法途径上，否则一律与笔者无关。 准备...
    黑夜梦阅读 1,913评论 0赞 4
  • 人活到多大年纪算是老啦
    在年轻人眼中，只要年过半百的都是老人，但我们知道，50岁和60岁有很大不同，更不用说往上还有70岁、80岁和90岁...
    幸福宝贝_874b阅读 256评论 0赞 6
  • 成功
    你最喜欢什么花？你喜欢它的原因是什么？每个人都有自己喜欢的花。，你们想知道我喜欢的花是什么吗？下面让我慢慢讲解。 ...
    适然阅读 199评论 0赞 0